监管时间线：接下来的节点
2026-09-12
核实：PDPL（经修订）、实施细则、跨境传输条例及配套规则均为 SDAIA 官网列示的现行有效文本
沙特个人数据保护法（PDPL）及其实施细则2026-09-12
核实：SDAIA 官网现行英文本为 0.2 版（2024 年 8 月），第 9 条规定自官方公报公布之日起施行
沙特个人数据出境传输条例2026-09-12
核实：SDAIA《法律与法规》页现行公布《人工智能伦理原则》（2025）与《生成式人工智能指引》（政府版与公众版，2025）
SDAIA 人工智能伦理原则与生成式 AI 指引
适用法规（3）
沙特个人数据保护法（PDPL）及其实施细则
中国 AI 企业受 PDPL 约束的典型业务动作：（1）在沙特设立公司、合资实体或数据中心并处理员工、客户数据；（2）不在沙特设立实体，但向沙特居民提供 App、模型 API、云服务、智能硬件或机器人，采集其账号、位置、语音、影像、健康或车辆数据——第 2(1) 条直接覆盖境外主体；（3）作为沙特客户（尤其政府项目、银行、医疗机构）的处理者承接标注、训练、推理、运维；（4）通过沙特经销商销售含摄像头／麦克风的硬件并回传数据至中国；（5）主营业务本身就是个人数据处理（例如以用户数据训练模型的平台）——此时依《国家控制者登记册规则》第 2 条属于强制登记情形之一。注意：该登记册规则的引言明确境外控制者的单独登记规则将由主管机关另行发布，境外企业应持续跟踪。
6 条义务 · 复核 2026-09-12
沙特个人数据出境传输条例
任何把沙特境内产生的个人数据送出王国的业务动作都受其约束，对中国 AI 企业而言最典型的四种是：（1）把沙特用户的提示词、语音、影像或行为日志回传中国或第三国用于模型训练与评测；（2）由中国团队远程运维沙特客户的系统而实际访问其个人数据（远程访问在实务中等同于传输，应按出境处理）；（3）集团内 HR、财务、客服系统集中在中国或新加坡，处理沙特员工与客户数据——这正是第 4(2)(c) 条"跨国集团必要集中运营"所对应的情形，需落实约束性共同规则或标准合同条款；（4）与沙特科研机构或医院合作，把去标识不充分的健康、基因或影像数据带出境——这类属于第 7(1)(b) 条持续或大规模传输敏感数据，必须先做风险评估。
3 条义务 · 复核 2026-09-12
SDAIA 人工智能伦理原则与生成式 AI 指引
这套文件不是可直接罚款的强制立法，但对中国 AI 企业有三条硬性的商业影响路径：（1）沙特政府与国企采购——数据与 AI 治理条款通常直接引用 SDAIA 的伦理原则与合格评定要求，投标文件与技术方案必须逐条映射；（2）与沙特本地伙伴合资或被其部署时，伙伴会把这些原则写进合同的合规承诺与验收标准；（3）当 AI 系统处理个人数据时，伦理原则中的隐私与安全控制与 PDPL 及其实施细则的法定义务高度重叠，违反往往同时构成 PDPL 违规，从而落入第 36 条的罚则。此外，"不可接受风险"一档对社会画像类产品的表态，意味着以信用之外的社会行为评分为核心的产品在沙特市场没有合规路径。
3 条义务 · 复核 2026-09-12
数据出境路径
沙特 PDPL 境外传输与披露（第 29 条）
无数量门槛。第 29 条的结构与欧盟不同：它先设定目的门槛（第 1 款四项），再叠加三项条件（第 2 款 A、B、C），二者须同时满足。实务上最关键的是第 2 款 B 项 —— 「充分保护水平」由主管机关（SDAIA）与其认为适当的其他相关机关协调后开展的评估确定，即适格性判断的权力在监管机关而非企业；第 2 款 C 项的最小化要求则是逐笔传输都要能证明的。本轮研究的重要限制：第 29 条第 4 款把具体规定、标准、程序以及对第 2 款 B、C 项条件的豁免与其控制程序全部授权给实施细则，而本轮未能从沙特官方站点取得该实施细则（含专门的境外数据传输规范）的原文 —— 因此现行豁免清单、被认定为具备充分保护水平的国家名单、是否需要向 SDAIA 提交风险评估或登记，均未核实。confidence 定为 medium，使用前必须回到 SDAIA 公布的实施细则与数据传输规范原文核对。
预计周期：估算：2-6 周（目的与条件判定、最小化论证与合同条款）。若需依赖实施细则项下的豁免程序，其申请周期本轮未核实，应按项目单独评估。 · 成本档位 Medium
来源（9）
- 沙特《个人数据保护法》官方英文本沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- 沙特《个人数据保护法实施细则》官方英文本沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《个人数据保护官任命规则》（01 版，2024 年 8 月）沙特数据与人工智能管理局（SDAIA） · Art. 5 · 核实 2026-09-12
- SDAIA《王国境内控制者国家登记册规则》沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《法律与法规》总览页（PDPL、实施细则、跨境传输条例、DPO 规则、AI 伦理原则等官方下载入口）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- 沙特《个人数据出境传输条例》官方英文本（0.2 版，2024 年 8 月）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《个人数据出境风险评估指引》沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《人工智能伦理原则》（2025 版）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
- SDAIA《生成式人工智能指引（公众版）》（2025）沙特数据与人工智能管理局（SDAIA） · 核实 2026-09-12
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。